VulnGuard/
├── docker-compose.yml          # Container orchestration
├── .env                        # Cấu hình (SCAN_WORKSPACE, OLLAMA_MODEL...)
├── .env.example                # Cấu hình mẫu
├── api/
│   ├── Dockerfile              # All-in-one: API + tất cả Scanner tools
│   ├── requirements.txt        # Python deps cho API
│   ├── config.py               # App settings (pydantic-settings)
│   ├── database.py             # SQLite connection
│   ├── main.py                 # FastAPI app entry point
│   ├── models.py               # DB models: Project, Scan, Vulnerability, Waiver
│   ├── schemas.py              # Pydantic schemas
│   └── routes/
│       ├── projects.py         # CRUD projects
│       ├── scans.py            # Trigger scan, live progress, export
│       ├── vulns.py            # Vulnerability management, waivers
│       ├── compare.py          # Scan comparison, approve check
│       ├── report.py           # AI HTML report generator
│       ├── settings.py         # Scanner health check, enable/disable
│       └── ollama.py           # Ollama model management
├── scanner/
│   ├── orchestrator.py         # Chạy song song, live callback, dedup
│   ├── ai_analyzer.py          # Ollama integration, tiếng Việt
│   └── scanners/
│       ├── base.py             # BaseScanner abstract class
│       ├── sast.py             # Semgrep (bundled rules + online), Bandit
│       ├── sca.py              # Trivy SCA, pip-audit
│       ├── container.py        # Trivy container, Grype
│       ├── iac.py              # Checkov, TrivyIaC, Hadolint
│       ├── secrets.py          # Gitleaks, detect-secrets
│       └── rules/
│           └── python-security.yaml  # Bundled Semgrep rules (offline)
├── web/
│   └── index.html              # Single-page Web Dashboard
└── storage/                    # Persistent data (Docker volume)
    ├── db/                     # SQLite database
    └── scanner_config.json     # Scanner enable/disable config

# Projects
GET    /api/projects                           Danh sách projects
POST   /api/projects                           Tạo project
DELETE /api/projects/{id}                      Xóa project

# Scans
POST   /api/projects/{id}/scans                Trigger scan mới
GET    /api/projects/{id}/scans                Danh sách scans
GET    /api/projects/scans/{id}                Chi tiết scan
GET    /api/projects/scans/{id}/progress       Live progress (poll 2s)
GET    /api/projects/scans/{id}/vulns          Danh sách vulnerabilities
GET    /api/projects/scans/{id}/export         Export JSON hoặc CSV

# AI Report
GET    /api/scans/{id}/report                  Xem báo cáo HTML
GET    /api/scans/{id}/report?download=true    Tải xuống file .html

# Vulnerability Management
PATCH  /api/vulns/{id}/status                  Đổi trạng thái vuln
POST   /api/vulns/{id}/waiver                  Tạo waiver (accept risk)
DELETE /api/vulns/{id}/waiver                  Xóa waiver

# Approve & Compare
GET    /api/projects/{id}/approve-check        Kiểm tra approve
GET    /api/projects/{id}/compare              So sánh 2 scans

# Settings
GET    /api/settings/scanners                  Health check tất cả tools
PUT    /api/settings/scanners                  Lưu enable/disable config

# Ollama
GET    /api/ollama/health                      Kiểm tra Ollama
GET    /api/ollama/models                      Danh sách models
POST   /api/ollama/pull                        Pull model mới
PUT    /api/ollama/active-model                Đổi model active

# Swagger UI: http://localhost:8080/docs

1. Developer push code lên nhánh mới
2. Security Approver mở VulnGuard → Tạo Project (nếu chưa có)
3. Copy source code vào SCAN_WORKSPACE
4. Trigger Scan → chọn scan types → theo dõi live progress
5. Chờ AI Analysis hoàn tất (tự động sau scan)
6. Review vulnerabilities:
   ├── CRITICAL/HIGH → ưu tiên fix
   ├── Đánh dấu False Positive (AI hỗ trợ đánh giá)
   └── Accept Risk → tạo Waiver (ghi rõ lý do + người duyệt + ngày hết hạn)
7. Tạo Báo Cáo AI → gửi file .html cho dev team fix
8. Dev fix xong → Scan lại → Compare để xác nhận
9. Chạy Approve Check → phải ra "APPROVED" → Deploy

Hãy đảm bảo SCAN_WORKSPACE trong .env trỏ đúng thư mục,
rồi dùng path /workspace/<tên-folder> trong UI.